Gmail IMAP OAuth для настольных клиентов

Question

Недавно Google объявил, что они поддерживают OAUth для Gmail IMAP/SMTP. Я просмотрел их несколько документов, но все же я смущен, если они поддерживают OAuth для установленных приложений.

1. В this documentation они говорят:

Примечание: Хотя протокол OAuth поддерживает рабочий стол/встроено использовать приложение случай, Google только поддерживает OAuth для веб-приложений.

Но у них также есть документ для OAuth for installed applications.

2. Когда я прочитал OAuth specification указал на них, он говорит (раздел 11.7):

Во многих приложениях, приложение Consumer будет находиться под контролем потенциально ненадежных сторон. Например, если , если потребитель является бесплатным настольным приложением , злоумышленник может загрузить копию для анализа. В таких случаях злоумышленники смогут восстановить секретный секрет потребителя , используемый для аутентификации потребителя Поставщику услуг.

Также я считаю, что отказ от ответственности в пункте 1 выше составляет около Google Data APIs, и, несомненно, IMAP/SMTP не является их частью.

Я понимаю, что для установленных приложений я могу иметь установки, как:

1. Есть небольшой веб-приложение на скажем example.com для моего приложения. Это веб-приложение говорит о том, что Google получает токен доступа.

2. Установленное приложение ведет переговоры с example.com только для получения токена доступа.

3. Установленное приложение затем разговаривает с Google с помощью токена доступа.

Я сейчас смущен. Это единственный способ? Кроме того, если я делаю OAuth из настольного приложения, мы должны отправить секретный ключ Consumer с помощью приложения. Тогда мы не сможем сохранить секретность ключа потребителя.

Answer 1

Да, Oauth поддерживается для установленных приложений; см. Gmail IMAP and SMTP using OAuth документация.

1. Документация просто устарела (2008)
2. Это имеет смысл, но только для приложения, которое не хранит маркер доступа безопасным способом.

Ваша установка хороша, хотя я не думаю, что есть веб-приложение, которое говорит с Google обязательным; например, ваши пользователи могут просто скопировать и вставить «токен запроса» в клиентское приложение вашего рабочего стола.